Politika povedomia a školenia o informačnej bezpečnosti

Politika povedomia a školenia o informačnej bezpečnosti (P08) stanovuje formálny, celopodnikový rámec na zabezpečenie toho, aby všetok personál, dodávatelia a zástupcovia tretích strán rozumeli svojim zodpovednostiam v oblasti informačnej bezpečnosti. Nariaďuje komplexné školenie, ktoré podporuje súlad s ISO/IEC 27001:2022 a ďalšími poprednými globálnymi rámcami. Dokument opisuje prístup zohľadňujúci riziká a vyžaduje, aby sa školenie bezpečnostného povedomia priebežne riešilo prostredníctvom procesu nástupu, pravidelných opakovacích školení a školení spúšťaných udalosťami, prispôsobených vyvíjajúcim sa hrozbám a regulačným požiadavkám. Táto politika poskytuje jasný rozsah a stanovuje, že všetci používatelia s prístupom k informačným systémom alebo zariadeniam organizácie, či už ide o interných zamestnancov, dočasných pracovníkov, dodávateľov alebo dodávateľov tretích strán, sa musia zúčastniť. Požiadavky špecifikujú vstupné školenie o bezpečnostnom povedomí, moduly špecifické pre rolu pre pozície ako vývojári alebo privilegovaní používatelia a priebežné kampane zvyšovania povedomia. Doručovacie mechanizmy zahŕňajú e-learning, osobné brífingy, simulácie a multimediálne materiály, s povinným ročným opakovacím školením alebo dodatočným školením spúšťaným bezpečnostnými incidentmi alebo významnými zmenami v práve/technológiách. Podrobné požiadavky na správu zabezpečujú, že všetci používatelia sú vedení prístupným a inkluzívnym vzdelávacím obsahom pokrývajúcim základné témy, ako sú odolnosť voči phishingu, hygiena hesiel a regulačné povinnosti. Funkcie Ľudských zdrojov (HR) a riaditeľ informačnej bezpečnosti (CISO) sú kľúčové pri vedení záznamov o školeniach, zabezpečení toho, aby noví zamestnanci a osoby so zmenou roly dodržali lehoty plnenia, a pri sledovaní absolvovania prostredníctvom systému riadenia vzdelávania. Nesúlad vedie k progresívnym disciplinárnym opatreniam, od automatizovaných pripomienok až po odoberanie prístupových práv a eskaláciu na Ľudské zdroje (HR). Pravidelné phishingové simulácie a kampane zvyšovania povedomia sú povinné; ich výsledky usmerňujú spresňovanie obsahu a eskaláciu cieleného preškolenia tam, kde sa opakovane zaznamenávajú riziká. Ošetrenie výnimiek je definované prostredníctvom zdokumentovaného procesu schvaľovania založeného na riziku a politika kladie silný dôraz na pravidelné preskúmania politík, aktualizácie obsahu a pripravenosť na audit, čím zabezpečuje pokračujúce zosúladenie s ISO/IEC 27001, 27002, NIST SP 800-53, GDPR, NIS2, DORA a COBIT 2019. Politika tak podporuje merateľnú, vyvíjajúcu sa obranu proti zraniteľnostiam súvisiacim s ľudským faktorom, ktoré sú kľúčové pre udržanie odolnosti organizácie.